Caddy depuis le dépôt officiel, et non depuis une image : retour sur un choix d'architecture pour ma plateforme Podman

Wed, 19 Aug 2026 14:00:00 +0200

Votre plateforme de services tourne en Podman rootless, et il vous faut bien un point d’entrée public pour terminer TLS et gérer ACME. La question est de savoir où le mettre. Je fais le choix de garder Caddy hors Podman, comme service hôte installé depuis le dépôt APT officiel signé de Caddy.

Caddy dans Podman ?

Non. La frontière est simple : scripts/deploy.sh tourne rootless en tant que podman, et il ne doit jamais acquérir d’autorité root sur un service TLS public. Si Caddy vivait dans Podman, le déploiement applicatif rootless pourrait, par construction, réécrire la configuration du point d’entrée public. C’est exactement la confusion de privilège que je veux éviter.

Caddy from the official package source, not from an image: an architecture decision for my Podman platform

Wed, 19 Aug 2026 14:00:00 +0200

Your services platform runs on rootless Podman, and you need a public entry point to terminate TLS and handle ACME. The question is where to put it. I choose to keep Caddy outside Podman, as a host service installed from Caddy’s signed official APT repository.

Caddy in Podman?

No. The boundary is simple: scripts/deploy.sh runs rootless as podman, and it must never acquire root authority over a public TLS service. If Caddy lived in Podman, the rootless application deployment could, by construction, rewrite the configuration of the public entry point. That is exactly the privilege confusion I want to avoid.

Caddy on Mathias WOLFF

Caddy depuis le dépôt officiel, et non depuis une image : retour sur un choix d'architecture pour ma plateforme Podman

Caddy dans Podman ?#

Caddy from the official package source, not from an image: an architecture decision for my Podman platform

Caddy in Podman?#

Caddy dans Podman ?

Caddy in Podman?